La persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, Associazione od Organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza.
È importante notare come il titolare non sia semplicemente un "possessore di partita IVA" bensì è una persona fisica o giuridica o P.A, o altro ente che ha la facoltà di decidere in autonomia (tecnica, economica o finanziaria) sulle finalità, sulle modalità sulle misure minime di sicurezza da adottare e su quali strumenti utilizzare nell'eseguire un trattamento di dati.
Per quanto riguarda gli enti o le pubbliche amministrazioni titolare è la struttura nel suo complesso, e non le persone fisiche che la gestiscano o la rappresentino.